AWSChaves gerenciadas pela Chaves gerenciadas pelo cliente AWS GlueContexto de criptografia do Habilitar a criptografia Criptografar ativos do Catalog com chave gerenciada pelo cliente do AWS KMS Monitorar suas chaves do KMS para o AWS Glue

Como criptografar seu Data Catalog

A criptografia do AWS Glue Data Catalog fornece segurança aprimorada para dados sensíveis. O AWS Glue integra-se com o AWS Key Management Service (AWS KMS) para criptografar metadados armazenados no Data Catalog, incluindo automaticamente ativos registrados que você enriquece com contexto de negócios para pesquisa semântica. Você pode habilitar ou desabilitar as configurações de criptografia para recursos no Catálogo de Dados usando o console do AWS Glue ou a AWS CLI.

Quando você habilita a criptografia para seu Catálogo de Dados, todos os novos objetos que você criar serão criptografados. Quando você desabilita a criptografia, os novos objetos criados não serão criptografados, mas os objetos criptografados existentes permanecerão criptografados.

Você pode criptografar todo o seu Catálogo de Dados usando chaves de criptografia gerenciadas pela AWS ou chaves de criptografia gerenciadas pelo cliente. Para obter mais informações sobre os principais tipos e estados, consulte Conceitos do AWS Key Management Service no Guia do desenvolvedor do AWS Key Management Service.

nota

Ao usar o Catálogo de Dados criptografado com um crawler, é necessário manter as configurações de criptografia. A remoção das configurações de criptografia após um crawler processar um catálogo criptografado resulta em erros. Se você precisar remover as configurações de criptografia, crie um novo crawler em vez de modificar o existente.

AWSChaves gerenciadas pela

Chaves gerenciadas pelo AWS são chaves do KMS em sua conta que são criadas, gerenciadas e usadas em seu nome por um serviço da AWS integrado ao AWS KMS. É possível visualizar as chaves gerenciadas pela AWS na conta, visualize suas políticas de chaves e audite seu uso nos logs do AWS CloudTrail. No entanto, não é possível gerenciar essas chaves nem alterar suas permissões.

A criptografia em repouso se integra automaticamente com o AWS KMS para gerenciar as chaves gerenciadas pela AWS para o AWS Glue que são usadas para criptografar seus metadados. Se uma chave gerenciada pela AWS não existir quando a criptografia de metadados for habilitada, o AWS KMS criará automaticamente uma nova chave para você.

Para obter mais informações, consulte Chaves gerenciadas pela AWS.

Chaves gerenciadas pelo cliente

Chaves gerenciadas pelo cliente são chaves do KMS em sua Conta da AWS que você cria, detém e gerencia. Você tem controle total sobre essas chaves KMS. É possível:

Estabelecer e manter suas políticas de chaves, políticas do IAM e concessões
Habilitá-las e desabilitá-las
Alternar o material criptográfico
Adicionar tags.
Criar aliases que se referem a elas
Agendá-las para exclusão

Para obter mais informações sobre como gerenciar as permissões de uma chave gerenciada pelo cliente, consulte Chaves gerenciadas pelo cliente.

Importante

AWS GlueO oferece suporte somente a chaves gerenciadas pelo cliente simétricas. A lista de chaves do KMS exibe apenas chaves simétricas. No entanto, se você selecionar Escolher um ARN de chave do KMS, o console permitirá que você insira um ARN para qualquer tipo de chave. Certifique-se de inserir apenas ARNs para chaves simétricas.

Para criar uma chave simétrica gerenciada pelo cliente, siga as etapas para criar chaves gerenciadas pelo cliente simétricas e o Guia do desenvolvedor do AWS Key Management Service.

Quando você habilita a criptografia do Catálogo de Dados em repouso, os seguintes tipos de recursos são criptografados usando chaves do KMS:

Bancos de dados
Tabelas
Partições
Versões de tabela
Estatísticas de colunas
Funções definidas pelo usuário
Visualizações do Catálogo de Dados
Ativos do catálogo

AWS GlueContexto de criptografia do

Um contexto de criptografia é um conjunto opcional de pares de chave-valor que pode conter mais informações contextuais sobre os dados. O AWS KMS usa o contexto de criptografia como dados autenticados adicionais para comportar criptografia autenticada. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, o AWS KMS vincula de forma criptográfica o contexto de criptografia aos dados criptografados. Para descriptografar dados, é necessário incluir o mesmo contexto de criptografia na solicitação. O AWS Glue usa o mesmo contexto de criptografia em todas as operações criptográficas do AWS KMS, onde a chave é glue_catalog_id e o valor é catalogId.


"encryptionContext": {
    "glue_catalog_id": "111122223333"
}

Ao usar uma chave gerenciada pela AWS ou uma chave simétrica gerenciada pelo cliente para criptografar seu Catálogo de Dados, você também pode utilizar o contexto de criptografia em registros de auditoria e logs para identificar como a chave está sendo utilizada. O contexto de criptografia também aparece nos logs gerados pelo AWS CloudTrail ou logs do Amazon CloudWatch.

Habilitar a criptografia

Você pode habilitar a criptografia para seus objetos do AWS Glue Data Catalog nas Configurações do Catálogo de Dados no console do AWS Glue ou usando a AWS CLI.

Console

Para habilitar a criptografia usando o console

Faça login no Console de gerenciamento da AWS e abra o console do AWS Glue em https://console.aws.amazon.com/glue/.
Escolha Catálogo de Dados no painel de navegação.
Na página Configurações do Catálogo de Dados, marque a caixa de seleção Criptografia de metadados e escolha uma chave do AWS KMS.

Quando você habilita a criptografia, se você não especificar uma chave gerenciada pelo cliente, as configurações de criptografia usarão uma chave do KMS gerenciada pela AWS.
(Opcional) Quando você usa uma chave gerenciada pelo cliente para criptografar seu Catálogo de Dados, o Catálogo de Dados oferece a opção de registrar um perfil do IAM para criptografar e descriptografar recursos. É necessário conceder ao seu perfil do IAM permissões que o AWS Glue pode assumir em seu nome. Isso inclui permissões do AWS KMS para criptografar e descriptografar dados.

Quando você cria um novo recurso no Catálogo de Dados, o AWS Glue assume o perfil do IAM fornecido para criptografar os dados. Da mesma forma, quando um consumidor acessa o recurso, o AWS Glue assume o perfil do IAM para descriptografar dados. Se você registrar um perfil do IAM com as permissões necessárias, o responsável pela chamada não precisará mais de permissões para acessar a chave e descriptografar os dados.

Importante
É possível delegar operações do KMS a um perfil do IAM somente quando uma chave gerenciada pelo cliente for usada para criptografar os recursos do Catálogo de Dados. No momento, o recurso de delegação de perfil do KMS não oferece suporte ao uso de chaves gerenciadas pela AWS para criptografar recursos do Catálogo de Dados.

Atenção
Ao habilitar um perfil do IAM para delegar operações do KMS, você não pode mais acessar os recursos do catálogo de dados que foram criptografados anteriormente com uma chave gerenciada pela AWS.
1. Para habilitar um perfil do IAM que AWS Glue pode assumir para criptografar e descriptografar dados em seu nome, selecione a opção Delegar operações do KMS para um perfil do IAM.
2. Em seguida, escolha um perfil do IAM.
  
  Para criar um perfil do IAM, consulte Criar um perfil do IAM para o AWS Glue.
  
  O perfil do IAM que o AWS Glue assume para acessar o Catálogo de Dados deve ter as permissões para criptografar e descriptografar metadados no Catálogo de Dados. Você pode criar um perfil do IAM e anexar as políticas em linha a seguir:
  - Adicione a política a seguir para incluir permissões do AWS KMS para criptografar e descriptografar o Catálogo de Dados.
    JSON
    JSON
    
    { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:Encrypt", "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:us-east-1:111122223333:key/<key-id>" } ] }
  - Em seguida, adicione a política de confiança a seguir ao perfil para que o serviço AWS Glue assuma o perfil do IAM.
    JSON
    JSON
    
    { "Version":"2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "glue.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
  - Em seguida, adicione a permissão iam:PassRole ao perfil do IAM.
    JSON
    JSON
    
    { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": [ "arn:aws:iam::111122223333:role/<encryption-role-name>" ] } ] }
Quando a criptografia é habilitada, se não tiver especificado um perfil do IAM para o AWS Glue assumir, a entidade principal que acessa o Data Catalog deverá ter permissões para realizar as seguintes ações do AWS KMS na chave do KMS:
- kms:DescribeKey
- kms:Decrypt
- kms:Encrypt
- kms:GenerateDataKey
- kms:CreateGrant
A política a seguir concede as permissões necessárias à entidade principal. A ação kms:CreateGrant permite que o AWS Glue criptografe e recriptografe os metadados e o índice de pesquisa do Data Catalog em segundo plano após a conclusão da solicitação do AWS KMS. O AWS Glue define o escopo da concessão como o contexto de criptografia glue_catalog_id.
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kms:DescribeKey",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        },
        {
            "Effect": "Allow",
            "Action": "kms:CreateGrant",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:glue_catalog_id": "123456789012"
                },
                "StringLike": {
                    "kms:CallerAccount": "123456789012"
                },
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        }
    ]
}
```

AWS CLI

Para habilitar a criptografia usando o SDK ou o AWS CLI

Use a operação de API PutDataCatalogEncryptionSettings. Se nenhuma chave for especificada, o AWS Glue usará a chave de criptografia gerenciada pela AWS para a conta do cliente para criptografar o Catálogo de Dados.


aws glue put-data-catalog-encryption-settings \
  --data-catalog-encryption-settings '{
      "EncryptionAtRest": {
      "CatalogEncryptionMode": "SSE-KMS-WITH-SERVICE-ROLE",
      "SseAwsKmsKeyId": "arn:aws:kms:<region>:<account-id>:key/<key-id>",
      "CatalogEncryptionServiceRole":"arn:aws:iam::<account-id>:role/<encryption-role-name>"
    }

  }'

Quando você habilitar a criptografia, todos os objetos que você criar no Catálogo de Dados serão criptografados. Se você desmarcar essa configuração, os objetos que você criar no Catálogo de Dados não serão mais criptografados. Você pode continuar acessando os objetos criptografados existentes no Catálogo de Dados com as permissões do KMS necessárias.

Importante

A chave do AWS KMS deve permanecer disponível no armazenamento de chaves do AWS KMS para todos os objetos que são criptografados com ela no Data Catalog. Se você remover a chave, os objetos não poderão mais ser descriptografados. Isso pode ser desejável em alguns cenários para impedir o acesso aos metadados do Data Catalog.

Criptografar ativos do Catalog com chave gerenciada pelo cliente do AWS KMS

Os recursos de catálogo compatíveis são registrados automaticamente no AWS Glue Data Catalog como ativos. Você adiciona o contexto de negócios a esses ativos, o que permite pesquisar e filtrar semanticamente esses metadados no AWS Glue. Quando você habilita a criptografia de metadados com uma chave gerenciada pelo cliente, o AWS Glue também criptografa o índice de pesquisa do Data Catalog com sua chave do KMS. Nenhuma etapa adicional é necessária; o AWS Glue habilita automaticamente a criptografia do índice de pesquisa como parte da criptografia de metadados.

Se você habilitou anteriormente a criptografia do Data Catalog com uma chave gerenciada pelo cliente e a política existente inclui apenas kms:Decrypt, kms:Encrypt e kms:GenerateDataKey, adicione as seguintes permissões para garantir a compatibilidade com ativos do catálogo e pesquisa semântica:

kms:DescribeKey: obrigatório para validação de chave.
kms:CreateGrant: permite que o AWS Glue criptografe e recriptografe o índice de pesquisa em segundo plano. O AWS Glue define o escopo da concessão como o contexto de criptografia glue_catalog_id.

Para ver a política completa que inclui essas permissões, consulte Habilitar a criptografia. Se for a primeira vez que você configura a criptografia, a política nessa seção já inclui todas as permissões necessárias.

Importante

A pesquisa semântica em ativos do Data Catalog não é compatível com chave gerenciada do AWS (aws/glue). Se os metadados do Data Catalog forem criptografados com o aws/glue, a pesquisa nesse catálogo não estará disponível até a configuração ser removida ou alterada para usar uma chave gerenciada pelo cliente.

A habilitação da criptografia de metadados é uma operação assíncrona. O AWS Glue aceita sua solicitação e conclui a configuração da criptografia, incluindo a criptografia do índice de pesquisa existente. A primeira habilitação de criptografia pode levar algum tempo, dependendo do tamanho do Data Catalog. Durante esse tempo, o contexto de negócios e as APIs de pesquisa retornam erro até que o status seja Enabled.

A tabela a seguir descreve os diferentes status de criptografia dos metadados de ativos do Data Catalog:

Status	Descrição
Habilitar	O AWS Glue está configurando a criptografia. A primeira vez que a criptografia é habilitada, a pesquisa não fica disponível até a configuração ser concluída. Quando uma chave gerenciada pelo cliente é alterada para outra, a pesquisa permanece disponível.
Habilitado	A criptografia foi concluída. Os metadados do Data Catalog podem ser pesquisados.
Habilitada (com erros)	A criptografia foi concluída e a pesquisa está disponível, mas o AWS Glue não conseguiu processar alguns metadados. O console exibe as mensagens de erro. Para tentar novamente os itens com falha, salve as configurações de criptografia novamente depois de corrigir os erros.
Failed	Não foi possível concluir a criptografia e a pesquisa não está disponível. Revise a mensagem de erro, corrija a configuração e salve novamente as configurações de criptografia com uma chave gerenciada pelo cliente.
Desabilitando	O AWS Glue está desabilitando a criptografia do índice de pesquisa com a chave do KMS.
Desabilitado	Os metadados do Data Catalog e o índice de pesquisa não estão mais criptografados com a chave do KMS. O contexto de negócios e as APIs de pesquisa continuam funcionando.

Quando você muda a criptografia do Data Catalog de uma chave gerenciada pelo cliente para outra, o AWS Glue criptografa novamente o índice de pesquisa com a nova chave. A pesquisa permanece disponível enquanto a recriptografia está em andamento. Quando você desabilita a criptografia de metadados, AWS Glue remove sua chave KMS do índice de pesquisa e o status muda para Disabled.

Atenção

Não desabilite, exclua ou revogue o acesso à chave do KMS anterior até o status da criptografia voltar para Enabled (ou Disabled, se você tiver desabilitado a criptografia). Se o AWS Glue perder o acesso à chave anterior antes da conclusão da operação, não poderá descriptografar o índice de pesquisa, o status mudará para Failed e a pesquisa no Data Catalog não estará disponível.

A entidade principal que habilita ou altera a criptografia de metadados deve ter a permissão kms:CreateGrant descrita em Habilitar a criptografia. O AWS Glue usa o contexto de criptografia glue_catalog_id (o valor é o catalogId) nas operações AWS KMS do índice de pesquisa, consistente com o AWS GlueContexto de criptografia do. As chamadas do AWS KMS que o AWS Glue faz para o índice de pesquisa são registradas no AWS CloudTrail.

A entidade principal que acessa o contexto de negócios e a pesquisa também deve ter acesso à chave do KMS. Se você delegou operações do AWS KMS a um perfil de serviço do IAM, esse perfil de serviço deverá ter acesso à chave do KMS.

Além da política de identidade, adicione também a seguinte instrução à política de chave do KMS para permitir que o AWS Glue crie concessões para criptografia do índice de pesquisa. A condição kms:GrantIsForAWSResource limita a concessão ao AWS Glue, e o contexto de criptografia glue_catalog_id a define no Data Catalog. Para usar a instrução, substitua os espaços reservados para entrada do usuário por suas próprias informações.


{
    "Sid": "AllowCreateGrantForSearchIndexEncryption",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::account-id:root"
    },
    "Action": "kms:CreateGrant",
    "Resource": "arn:aws:kms:region:account-id:key/key-id",
    "Condition": {
        "StringLike": {
            "kms:CallerAccount": "account-id"
        },
        "Bool": {
            "kms:GrantIsForAWSResource": "true"
        },
        "StringEquals": {
            "kms:EncryptionContext:glue_catalog_id": "account-id"
        }
    }
}

Monitorar suas chaves do KMS para o AWS Glue

Ao usar chaves do KMS com os recursos do Catálogo de Dados, você pode usar o AWS CloudTrail ou os Logs do Amazon CloudWatch para rastrear solicitações enviadas pelo AWS Glue para o AWS KMS. O AWS CloudTrail monitora e registra as operações do KMS chamadas pelo AWS Glue para acessar dados criptografados por suas chaves do KMS.

Os exemplos a seguir são eventos do AWS CloudTrail para as operações Decrypt, GenerateDataKey, CreateGrant e RetireGrant. Quando você habilita a criptografia com uma chave gerenciada pelo cliente, o AWS Glue cria uma concessão do AWS KMS com escopo definido como o contexto de criptografia glue_catalog_id, para poder criptografar e recriptografar os metadados do Data Catalog em segundo plano, e retira a concessão quando o AWS Glue não precisa mais dela.

Decrypt


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAXPHTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAXPHTESTANDEXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Admin",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2024-01-10T14:33:56Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "glue.amazonaws.com"
    },
    "eventTime": "2024-01-10T15:18:11Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-west-2",
    "sourceIPAddress": "glue.amazonaws.com",
    "userAgent": "glue.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "glue_catalog_id": "111122223333"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
    },
    "responseElements": null,
    "requestID": "43b019aa-34b8-4798-9b98-ee968b2d63df",
    "eventID": "d7614763-d3fe-4f84-a1e1-3ca4d2a5bbd5",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:<region>:111122223333:key/<key-id>"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "sessionCredentialFromConsole": "true"
}

GenerateDataKey


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAXPHTESTANDEXAMPLE:V_00_GLUE_KMS_GENERATE_DATA_KEY_111122223333",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/V_00_GLUE_KMS_GENERATE_DATA_KEY_111122223333",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAXPHTESTANDEXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Admin",
                "accountId": "AKIAIOSFODNN7EXAMPLE",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2024-01-05T21:15:47Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "glue.amazonaws.com"
    },
    "eventTime": "2024-01-05T21:15:47Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "eu-west-2",
    "sourceIPAddress": "glue.amazonaws.com",
    "userAgent": "glue.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:eu-west-2:AKIAIOSFODNN7EXAMPLE:key/AKIAIOSFODNN7EXAMPLE",
        "encryptionContext": {
            "glue_catalog_id": "111122223333"
        },
        "keySpec": "AES_256"
    },
    "responseElements": null,
    "requestID": "64d1783a-4b62-44ba-b0ab-388b50188070",
    "eventID": "1c73689b-2ef2-443b-aed7-8c126585ca5e",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-2:111122223333:key/AKIAIOSFODNN7EXAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

CreateGrant

Quando você habilita a criptografia com uma chave gerenciada pelo cliente, o AWS Glue cria uma concessão na chave do KMS com para poder criptografar e recriptografar os metadados do Data Catalog em segundo plano. A concessão tem como escopo o contexto de criptografia glue_catalog_id.


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Example/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Example",
                "accountId": "111122223333",
                "userName": "Example"
            },
            "attributes": {
                "creationDate": "2024-04-22T17:02:00Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "glue.amazonaws.com"
    },
    "eventTime": "2024-04-22T17:02:00Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "eu-west-2",
    "sourceIPAddress": "glue.amazonaws.com",
    "userAgent": "glue.amazonaws.com",
    "requestParameters": {
        "retiringPrincipal": "glue.eu-west-2.amazonaws.com",
        "operations": [
            "GenerateDataKey",
            "Decrypt",
            "Encrypt",
            "ReEncryptFrom",
            "ReEncryptTo",
            "DescribeKey",
            "RetireGrant"
        ],
        "granteePrincipal": "glue.eu-west-2.amazonaws.com",
        "constraints": {
            "encryptionContextSubset": {
                "glue_catalog_id": "111122223333"
            }
        },
        "keyId": "arn:aws:kms:eu-west-2:111122223333:key/<key-id>"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:eu-west-2:111122223333:key/<key-id>"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-2:111122223333:key/<key-id>"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "sessionCredentialFromConsole": "true"
}

RetireGrant

O AWS Glue retira a concessão quando o AWS Glue não precisa mais dela, por exemplo, quando você altera a chave do KMS ou desabilita a criptografia.


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "glue.amazonaws.com"
    },
    "eventTime": "2025-04-29T22:18:50Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "RetireGrant",
    "awsRegion": "eu-west-2",
    "sourceIPAddress": "glue.amazonaws.com",
    "userAgent": "glue.amazonaws.com",
    "requestParameters": null,
    "responseElements": {
        "keyId": "arn:aws:kms:eu-west-2:111122223333:key/<key-id>"
    },
    "additionalEventData": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "294308c0-7617-4727-b5c9-34eaf75aa8e3",
    "eventID": "273708f7-5fbb-3a90-b04d-2b3138bf0ec9",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-2:111122223333:key/<key-id>"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "b46377d7-b3c3-4bfd-a257-722bd3f3411d",
    "eventCategory": "Management"
}

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Criptografar dados em repouso

Criptografar senhas de conexão